Saya telah bertanya-tanya minggu lalu ini karena bos besar saya mengatakan kepada saya untuk mulai melacak semua hal yang telah saya perbaiki, bagaimana cara memperbaikinya, dll. Tetapi kemudian muncul pertanyaan terkait. Dokumentasi apa yang harus saya miliki sejauh pengguna pergi. Lebih khusus saya berbicara dalam hal EULA, ToC, dll (tolong perbaiki saya jika saya menggunakan istilah yang salah) Atau lebih khusus kebijakan, jadi untuk berbicara, untuk pengguna dan semacamnya. Tidak bisa mengatakan saya seorang ahli hukum, kalau tidak saya akan menjadi pengacara. Lingkungan di mana pengguna berada cukup santai jadi saya tidak melihat masalah. Tetapi anggap bahwa seharusnya ada masalah, apa yang harus saya tulis / miliki?
EDIT: Saya benar-benar harus mencatat bahwa kami adalah fasilitas transportasi medis dan memiliki catatan pasien jadi saya tahu bahwa sesuatu harus dilakukan di sana untuk mematuhi kebijakan HIPAA yang saya percaya. Saya suka apa yang dikatakan anthonysomerset tentang Skenario "Jika saya naik bus" dan ingin menerapkannya tidak hanya pada dokumentasi yang saya tulis saat ini, tetapi juga jika mengatakan bahwa seorang karyawan mencuri informasi dari server atau kasing tepi, pencurian , dll. Sejauh staf kami, itu relatif kecil seperti dalam satu orang SDM, tidak ada departemen hukum selain dari 2 pengacara pemilik dan saya menjadi satu-satunya orang IT di staf dengan seorang pria yang tidak lebih dari superuser mac.
Jawaban:
Anda harus bekerja dengan atasan / orang SDM Anda untuk memiliki serangkaian kebijakan tertulis, yang diadopsi oleh penyelia, yang menguraikan bagaimana berbagai masalah ditangani dan apa yang diharapkan dari karyawan. Ini dapat bervariasi tergantung pada bisnis, tetapi pada dasarnya Anda akan memiliki dokumen yang menentukan apa yang diperbolehkan dan tidak pada jaringan Anda dan sistem komputer dan apa tindak lanjutnya (bagaimana perbaikan ditangani, apa yang dapat menyebabkan penghentian, dll) tindakan yang . Kemudian karyawan Anda diberikan materi sebagai bagian dari buku pegangan atau memo karyawan, mungkin untuk menandatangani dan menyimpannya.
Buatlah skenario yang harus Anda hadapi dalam hal penggunaan yang dapat diterima pada sistem komputer dan kemudian bicarakan dengan bos Anda tentang hal itu; kecuali Anda memiliki wewenang untuk memecat seseorang, Anda harus menggunakan bahasa kebijakan dengan kepala departemen atau pengawas lainnya. Jika Anda memiliki departemen hukum, Anda juga ingin menjalankannya melalui departemen hukum untuk memastikan Anda tidak menginjak masalah hukum yang melibatkan privasi atau pemutusan hubungan kerja di wilayah Anda.
Idealnya bisnis Anda sudah memiliki beberapa buku pegangan karyawan atau bahan-bahan yang harus disadari dan disangga oleh karyawan, sehingga mungkin ada beberapa gagasan tentang templat di sana yang dapat digunakan untuk Anda.
sumber
Kantor kami baru saja melewati ini. Namun kami harus mematuhi HIPAA. Kami mengambil kerangka kerja untuk standar IT kami dari versi online, dan menyempurnakannya. Saya pribadi menulis sebagian besar kebijakan. Seperti yang dikatakan @Bart Silverstrim, Anda harus bekerja dengan personel SDM Anda. Kami adalah tim dua orang untuk dokumen standar kami.
Itu tidak mudah. Lakukan secara perlahan dan metodis. Mulailah dengan rutinitas sehari-hari Anda, dan catat itu dalam daftar berpoin. Ada seluruh daftar ide, hanya contoh dari kami
Ada banyak lagi, itu semua tergantung pada seberapa jauh Anda ingin pergi.
Kami memiliki standar (aturan) ini untuk melindungi diri kami jika seseorang melanggar HIPAA. Jadi kita bisa mengatakan "hei, kita punya aturan-aturan ini, dan mereka yang melanggar"
Ini adalah kerangka kerja yang kami gunakan. Ini mungkin atau mungkin tidak bekerja untuk Anda juga.
sumber
Kami sekarang memiliki empat dokumen yang kami gunakan:
Tentu saja kami menyimpan banyak catatan lain juga, tetapi ini tentang jumlah dokumen hukum publik.
Catatan pasien adalah ballgame lain, dan pertunjukan terakhir saya adalah di kantor penagihan medis. Tentu saja ada banyak peraturan tambahan yang harus Anda ikuti, tetapi satu-satunya dokumen hukum yang masih saya ingat adalah bahwa Anda harus mendapatkan dan menyimpan catatan resmi izin dari orang-orang sebelum Anda dapat membagikan "informasi pengenal pribadi" dengan pihak lain.
sumber
Anda telah menerima beberapa saran hebat - beberapa pemikiran khusus untuk bidang medis (tidak semua yang terkait dengan IT, tetapi jika Anda menyimpan data pasien secara elektronik, ada BANYAK pendarahan):
Selain kerangka kerja Thoreau yang ditautkan di atas, Anda dapat menggunakan Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS) sebagai panduan untuk mengamankan informasi pasien - di mana pun tertulis "informasi pemegang kartu" atau hal-hal serupa yang dilindungi oleh HIPAA, terutama PHI / ePHI.
Penting untuk memiliki dokumentasi yang cukup untuk membuktikan kepatuhan dengan prosedur keamanan yang wajar (membuktikan kepatuhan dengan bagian-bagian PCI-DSS yang relevan atau kerangka kerja lainnya).
Anda akan menginginkan pernyataan kepatuhan HIPAA dan kebijakan kepatuhan HIPAA (merinci siapa yang memiliki akses ke PH / ePHII, dalam kondisi apa, dll.).
Bagian dari kebijakan ini harus mencakup cara Anda memverifikasi identitas pemohon informasi.
Bagian terpisah dari kebijakan ini harus berurusan dengan bagaimana Anda melindungi cadangan Anda, informasi dalam perjalanan, dll.
Dari perspektif legal-covering-of-your-pantat Anda, Anda juga perlu (dan mungkin sudah memiliki) formulir kerahasiaan yang ditandatangani oleh siapa saja yang memiliki akses ke informasi itu - Di perusahaan saya, mereka ditinjau dan ditandatangani kembali setiap tahun pada tinjauan kinerja Anda.
Pastikan ini cukup luas untuk mencakup ePHI (catatan elektronik).
sumber